第157页

    至于侵害个人信息的精神损害问题，依据我国《民法典》第1183条第1款的规定，“侵害自然人人身权益造成严重精神损害的，被侵权人有权请求精神损害赔偿”。个人信息权益属于自然人的人身权益，侵害个人信息造成严重精神损害的，当然应承担精神损害赔偿责任。对此，《最高人民法院关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》第17条也有规定：“网络用户或者网络服务提供者侵害他人人身权益，造成财产损失或者严重精神损害，被侵权人依据侵权责任法第二十条和第二十二条的规定请求其承担赔偿责任的，人民法院应予支持。”故此，原告如果在侵害个人信息的案件中，无法证明自己遭受了严重的精神损害，则不得请求侵权人承担精神损害赔偿责任。
    
    
    四、侵害个人信息的民事责任的免责与减责事由
    
    （一）一般的免责事由
    《民法典》规定的免责事由包括不可抗力、正当防卫、紧急避险（第180~182条）。这三类免责事由适用于所有的民事责任，故此规定在《民法典》的总则编。同时，《民法典》侵权责任编还对侵权侵责任的免责事由作出了规定，具体包括：受害人故意（第1174条）、自甘冒险（第1176条）以及自助行为（第1177条）。上述免责事由也可以适用于侵害个人信息的民事责任。不过，因为正当防卫、紧急避险而侵害个人信息的情形较为少见，比较有可能的是不可抗力导致处理者所储存的个人信息丢失的情形，例如地震导致存储个人信息的设备损坏，从而使其中存储的个人信息灭失，此时处理者可以以不可抗力作为免责事由。
    （二）特殊的免责事由
    《民法典》本条则对侵害个人信息的民事责任的免责事由作出了特别的规定，该规定适用于违约责任，也适用于侵权责任。具体阐述如下。
    1.在该自然人或者其监护人同意的范围内合理实施的行为。其个人信息被处理的自然人或者其监护人的同意是个人信息处理的合法性基础，如果依法取得自然人或者其监护的同意且在该同意的范围内实施的个人信息处理行为，属于合法的个人信息处理行为，处理者自然无须承担民事责任。但是，没有取得同意或者虽然取得同意但是超出了同意的范围的，如改变了处理目的或处理方式等，依然构成侵害个人信息的违法行为，应当承担民事责任。
    2.合理处理该自然人自行公开的或者其他已经合法公开的信息，但是该自然人明确拒绝或者处理该信息侵害其重大利益的除外。这一规定来自《最高人民法院关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》第12条，依据该条第1款第4项，如果网络用户或者网络服务提供者利用网络公开的自然人基因信息、病历资料、健康检查资料、犯罪记录、家庭住址、私人活动等个人隐私和其他个人信息是自然人自行在网络上公开的信息或者其他已合法公开的个人信息，则不构成侵权行为，不承担侵权责任。但是，依据该条第2款，如果网络用户或者网络服务提供者以违反社会公共利益、社会公德的方式公开这些个人信息，或者公开该信息侵害权利人值得保护的重大利益，权利人请求网络用户或者网络服务提供者承担侵权责任的，人民法院应予支持。对于已经合法公开的个人信息[22]，无论是自然人自行公开的还是其他已经合法公开的个人信息，原则上是可以无须告知并取得自然人的同意即能够自由地进行处理，因为这有利于促进信息的流动与利用，对于网络信息社会和数字经济的发展是有利的。例如，欧盟《一般数据保护条例》第9条第2款规定，在处理被数据主体明显公开的个人数据时，不适用本条第1款禁止处理的规定。但是，如果该自然人明确拒绝对已合法公开的个人信息的处理或者处理该信息侵害其重大利益的除外。这就是说，一方面，即便是已经合法公开的个人信息，依然受到个人信息保护法的保护，自然人对这些个人信息并不因其公开而失去控制的权利，其有权拒绝他人对这些信息进行处理。另一方面，由于个人信息的保护对于维护自然人的人格尊严和人格自由具有很重要的意义，所以即便是对已经合法公开的个人信息，也不得任意进行处理，如果处理该信息将侵害自然人的重大利益，行为人也要承担民事责任。所谓“侵害自然人重大利益”的情形，是指此种处理将有害于自然人的生命、身体、自由、财产或其他重大利益。例如，行为人通过对各种合法公开的信息的处理而对自然人进行人格画像，从而将导致其在接受商品或服务的过程中遭受种族、性别的歧视等侵害人格尊严的行为，则该处理行为侵害了自然人的重大利益，是非法的。
    3.为维护公共利益或者该自然人合法权益，合理实施的其他行为。所谓维护公共利益的情形，例如，当大规模疫情或灾难发生时，为了应对该疫情或灾难而需要对个人信息进行收集、使用等处理行为；再如，为了舆论监督而对自然人的个人信息进行披露的行为。所谓维护该自然人的合法权益，是指为了维护个人信息被处理者的合法权益而在不经过其本人或监护人同意的情形下处理个人信息。例如，甲突发疾病而生命垂危，急需在掌握其既往病史等个人信息的基础上进行治疗，而又无法取得其本人或近亲属的同意。此时，为了挽救甲的生命，可以实施信息处理行为。当然，无论是为了公共利益的行为还是该自然人的合法权益的行为，都必须是合理实施的行为，即不违反个人信息处理的正当原则、必要原则。
    （三）减责事由
    《民法典》对于违约责任规定的减责事由包括：其一，非违约方违反减损义务而导致损失扩大，即《民法典》第591条第1款规定：“当事人一方违约后，对方应当采取适当措施防止损失的扩大；没有采取适当措施致使损失扩大的，不得就扩大的损失请求赔偿。”其二，过失相抵，即《民法典》第592条第2款规定：“当事人一方违约造成对方损失，对方对损失的发生有过错的，可以减少相应的损失赔偿额。”就侵权责任的减责事由，《民法典》在侵权责任编作出了规定，即第1173条规定：“被侵权人对同一损害的发生或者扩大有过错的，可以减轻侵权人的责任。”
    在侵害个人信息的民事责任中，如果存在上述减责事由，则处理者可以相应减轻责任。例如，被第三人非法侵入其计算机信息系统窃取个人信息后，信息处理者已经及时采取补救措施，并依法告知了被收集者并向有关主管部门报告。但是，被收集者没有及时采取措施如更改密码、转移资金等，而导致了同一损失的发生或扩大的，则信息处理者可以减轻赔偿责任。例如，德国《联邦数据保护法》第83条第4款就明确规定：“民法